La Sécurité chez Wooclap

La démarche sécurité de Wooclap est une démarche initiée de long terme main dans la main avec les universités et entreprises partenaires de Wooclap.

Chez Wooclap nous souhaitons et exigeons le meilleur niveau de sécurité pour vos données.

Aujourd’hui cette démarche est toujours en évolution avec une équipe sécurité dédiée qui veille à augmenter continuellement notre niveau sécurité. Vous retrouverez les détails de nos éléments de sécurité dans notre Politique de Sécurité mais également sur cette page qui a pour but de partager nos informations sur les grands domaines de la sécurité.

Les éléments que vous retrouverez ici sont valables pour Wooclap mais également pour Wooflash. En effet, les produits sont construits sur la même base technique et conçus par la même équipe. Les garanties sécurité de Wooclap sont donc déclinées et valables pour Wooflash.

Toutes les données collectées dans le cadre de l’utilisation de Wooclap ou dans les formulaires sont traitées sur nos serveurs hébergés sur Amazon Web Services (AWS). Les serveurs sont localisés dans un pays de l’Union européenne (région "eu-west-3" à Paris en France), et donc soumis au respect du RGPD (plus d’information sur la page Confidentialité des données et RGPD chez Wooclap).

Pourquoi AWS? Nous avons choisi de travailler avec Amazon car ils sont leaders en termes de qualité de services, pour leurs attention à la sécurité de leurs produits et sur la conformité au RGPD de leur services. Ces critères sont d’ailleurs nécessaires pour tous les partenaires avec lesquels nous travaillons.

Notre infrastructure AWS est également basée et conformes à tous les principes AWS Well-Architected Framework qui confirme un haut niveau de protection et de sécurité des données.

Toutes les données sont chiffrées au repos comme en transit (at rest and in transit encryption). La confidentialité et la protection des données sont des sujets importants pour Wooclap, afin d’atteindre ces objectifs, les données sont chiffrées partout.

Chiffrement au repos : Wooclap utilise Amazon Key Management Service (KMS) avec une clé AES 256-bit pour crypter les données stockées par Wooclap. Ce schéma de cryptage des données a été validé comme FIPS 197 par le NIST. Concernant le stockage des clés, AWS utilise des équipements spécifiques appelés boitiers Hardware Security Module (HSM), ce dispositif garantit qu'aucun accès technique n'est possible aux clés pour AWS, Wooclap ou toute autre personne.

Chiffrement en transit : seul le protocole TLS 1.2 ou supérieur est utilisé chez Wooclap. Cet algorithme cryptographique asymétrique permet à Wooclap de chiffrer et de prévenir les attaques sur les communications entre la plateforme Wooclap et les navigateurs des utilisateurs.

Une vidéo AWS explique les mécanismes de chiffrements et services AWS qui protègent les données Wooclap.

Chez Wooclap nous privilégions les méthodes d’authentification renforcées comme le Single Sign-On (SSO) même si une authentification basique reste possible.

Un seul type de compte utilisateur existe chez Wooclap qu’il soit participant, professeur, présentateur, etc. mais différents types de droits sont possible :

• droits normaux, crée du contenu, des évènements, etc.
• droits administrateurs type “ingénieur pédagogique” avec à la vue de son ou ses organisation(s)
• droits administrateurs type “modérateur” avec accès organisation mais qui peut également ajouter et retirer des utilisateurs dans l’organisation
• droits administrateurs Wooclap accès type “ingénieur pédagogique” + “modérateur” + configuration possible du SSO + accès détails sur les organisations.

Les utilisateurs Wooclap peuvent accéder à leur compte selon différents moyens d’authentification :

• Avec une authentification par email et mot de passe
• Avec une authentification via les réseaux sociaux.
• Ou encore avec une authentification renforcée Single Sign On (SSO) ou un raccordement sera nécessaire avec Wooclap :
• Avec votre mail professionnel (qui redirigera vers la page SSO de votre entreprise ou établissement)
• Avec une connexion depuis le portail de votre université.

Wooclap supporte de nombreux protocoles d’authentification et notamment ceux relatifs au monde de l’éducation :

• Le Réseau National de Télécommunications pour la technologie, l'Enseignement et la Recherche (RENATER)
• Le service International EduGAIN (avec le GÉANT Data Protection Code of Conduct)
• RedIRIS, Canarie, etc.

Mais également des protocoles plus communs ou spécifiques à certaines régions : Azure AD, SAML, CAS (Apereo), Shibboleth.

N’hésitez pas à nous contacter directement pour savoir si votre protocole d’authentification est disponible.

Wooclap est également compatible avec la majorité des Learning Management System (LMS) :

Moodle, Canvas, Blackboard, Brightspace D2L, Claroline, Dokeos, itslearning, Sakai, etc.

Les authentication via LMS peuvent se faire via les Learning Tools Interoperability (LTI) :

• LTI 1.1 pour un chiffrement symétrique (obsolète depuis fin 2021)
• LTI 1.3 pour un chiffrement asymétrique avec openID Connect - OAuth 2.0

Une authentification via le Plugin Moodle est également possible.

Concernant les accès aux données Wooclap pour les employés Wooclap, les accès sont construits de manière très restreinte et uniquement les membres de l’équipe Tech peuvent accéder aux données des utilisateurs dans un but précis (investigation et résolution d’un bug par exemple).

Pour les accès employés Wooclap avec droits administrateur, ces comptes sont protégés par un mécanisme d’authentification unique et centralisée (SSO) mais également protégés par un mécanisme d’authentification multiple (MFA).

L’hébergeur de notre infrastructure AWS ne peut pas accéder “by design” aux données qui sont stockées sur leurs serveurs. Leur système est conçu pour que les accès aux données Wooclap par le personnel AWS ne soient pas possibles pour aucune raison y compris pour la maintenance ou l’assistance. Les accès aux données ne peuvent être donnés uniquement sur décision et action par un technicien Wooclap avec les droits nécessaires.

Il n’y a pas d’exception à cette règle, et s’applique à tout le personnel AWS : ils ne peuvent pas avoir accès aux données Wooclap, uniquement si les accès sont demandés et autorisés par Wooclap. Cette mesure est vérifiée indépendamment chez AWS par leur certification SOC2.

Ces accès sont couvert par des mesures de sécurité supplémentaires comme les politiques Identity Access Management (IAM) qui garantissent uniquement l’accès au compte Wooclap autorisés.

Wooclap bénéficie des bénéfices de l’infrastructure AWS afin de garantir du plus haut niveau de service pour ces utilisateurs. Un document d’accord de niveau de service est disponible et attaché à votre contrat Wooclap. Il décrit les SLA (Service Level Agreement) de notre plateforme avec les détails sur les taux de disponibilité, l’assistance et les situations plus critiques ou les incidents.

Wooclap possède une procédure de gestion des incidents et une checklist des actions à suivre qui est partagée par le management et board de la société. C’est un document interne qui décrit les rôles, les actions à mener et les priorités en cas d’incident. La phase post-remédiation est également décrite pour que des actions soient prises afin que l’incident ne se reproduise plus (si possible).

Une protection des attaques par déni de service distribué (DDoS) est atténuées par les mécanismes AWS. Ce système de surveillance permanente du réseau bloque le trafic malveillant à l'aide d'un filtrage déterministe des paquets et d'une mise en forme du trafic basée sur les priorités au niveau des couches 3 (IPv4 / IPv6) et 4 (TCP / UDP) du modèle OSI (Open Systems Interconnection).

Wooclap possède une assurance pour les incidents de sécurité.

Nous serons transparents et communiquerons si des conséquences affectent l’utilisation de la plateforme ou les données des utilisateurs. Notre devoir de communication est inscrit dans le contrat qui lie les deux parties, le délai de prévenance par défaut peut être modifié si des besoins spécifiques sont remontés.

Wooclap utilise deux méthodes afin de garantir aucune perte de données pour ces utilisateurs :

• des sauvegardes exécutées quotidiennement et stockées chiffrées (AES-256) pendant 30 jours
• des snapshots (des copies du système de fichiers du disque complet à un moment donné).

Les deux méthodes permettent à Wooclap de revenir à un état antérieur sain en cas d'altération ou de destruction accidentelle ou malveillante des données.

Des pratiques de développement sécurisé (security by design) sont prises chez Wooclap et font partie du cycle de développement de notre plateforme. Davantage de détails sont disponibles dans notre Politique de Sécurité (liée à votre contrat).

Wooclap a mis en place des mesures de supervision et d'alertes basées sur les technologies AWS mais aussi au travers d’outils dédiés de l’équipe technique.

Des mesures de journalisation sont utilisées en continu par les équipes. Les journaux applicatifs sont conservés 6 mois suivant les recommandations de l'ANSSI et de la CNIL.

Wooclap réalise un audit de sécurité par an sur son infrastructure afin de détecter de nouvelles failles de sécurité et intègre toute remédiation nécessaire à la suite de cet audit.

Les audits peuvent être des tests d’intrusions techniques sur l’application et le site web Wooclap mais également sur un scope plus large du système d’information (audit organisationnel, conformité, etc.).

Les partenaires et clients Wooclap qui possèdent une licence organisationnelle Wooclap peuvent également faire une demande de réalisation d’un audit spécifique sur notre infrastructure (dans la limite d’un audit par an et financé par leur organisation).

Les extraits des rapports d'audit sont disponibles pour les clients.

Wooclap dispose d’une gouvernance sécurité composée du Responsable Sécurité du Système d’Information (RSSI) et du CTO de Wooclap. Cette équipe est connue et reconnue de l’ensemble de l’ensemble des collaborateurs Wooclap également au travers de communications fréquentes.

Wooclap a une feuille de route de sécurité annuelle pour prévoir les prochaines améliorations de sécurité et de confidentialité des données. Des objectifs plus précis sont également liés à cette feuille de route pour suivre la réalisation de celle-ci et son alignement continue avec les objectifs de la société.

L’équipe Sécurité Wooclap est également garante de la relation avec les partenaires Universitaires et autres clients Wooclap. Nous répondons aux formulaires de sécurité en amont des signatures de contrat et continuons la relation sécurité tout au long de la durée de vie du contrat.

Wooclap dispose d’une politique de Sécurité de l’information mais également d’autres documents concernant la sécurité et la confidentialité des données qui peuvent prendre place en annexes du contrat.

Des actions de sensibilisation sont réalisées tout au long de l’année chez Wooclap et rassemblées au travers d’un programme de sensibilisation annuel.

Une formation sécurité est obligatoire durant le processus d’Onboarding des nouveaux collaborateurs Wooclap.